Open Source und Datensicherheit - ein Widerspruch?

Transkript

1 Open Source und Datensicherheit - ein Widerspruch? Hermann Gottschalk Thomas Birnthaler 2004 OSTC Open Source Training and Consulting GmbH info@ostc.de Web:

2 Inhaltsverzeichnis 1 Was ist......(daten)sicherheit?...open Source?...Linux? 2 Bekannte Beispiele für Open Source 3 Anforderungen an zentrale Software 4 Open Source und Sicherheit 2 Open Source und Datensicherheit - ein Widerspruch?

3 1 Was ist (Daten)Sicherheit? Ziele von Datensicherheit Verfügbarkeit Integrität Vertraulichkeit Decodierbarkeit Transferierbarkeit Absolute (Daten)Sicherheit ist nicht erreichbar! Maßnahmen Physische / räumliche Sicherung Zugriffskontrolle Fehlertoleranz Kryptographie Standards 3 Open Source und Datensicherheit - ein Widerspruch?

4 1 Was ist Open Source? Open Source Software (oder auch Free Software) genügt folgenden 10 Regeln: (Kosten)freie Weitergabe des Programms Quellcode frei verfügbar Veränderungen / Ableitungen zulässig Veränderungen erkennbar Keine Diskriminierung von Personen / Gruppen Keine Beschränkung des Einsatzfeldes Software-Weitergabe = Lizenz-Weitergabe Keine Beschränkung auf Produkt-Kombinationen Uneingeschränkte Weitergabe mit anderer Software Technologie-neutral 4 Open Source und Datensicherheit - ein Widerspruch?

5 1 Was ist Open Source? Unterschiedliche Lizenz-"Spielarten" GNU General Public License (GPL) GNU Library or "Lesser" Public License (LGPL) BSD License MIT License IBM Public License W3C License Software unter einer dieser Lizenzen erfüllt die 10 Open Source Regeln Copyright an der Software bleibt uneingeschränkt beim Urheber 5 Open Source und Datensicherheit - ein Widerspruch?

6 1 Was ist Linux? Linux = vollständige Neuprogrammierung von UNIX Beginn: 1990 Autor: Finnischer Student Linus Torvalds Besonderheit: Sofortige Freigabe unter der GPL Basis: GNU-Projekt der Free Software Foundation (steht ebenfalls unter der GPL) UNIX-Standards wie SVID und POSIX erfüllt Das Paradebeispiel für Open Source Software Ohne offene UNIX-Standards wäre dieses Projekt kaum möglich gewesen bzw. hätte wesentlich länger gedauert 6 Open Source und Datensicherheit - ein Widerspruch?

7 2 Bekannte Beispiele für Open Source Open Source ist kein neuer Gedanke: Kryptographie Security by obscurity doesn't work! (Bruce Schneier) Klassisches Beispiel "Enigma" Konstruktion nicht offengelegt "Knackbar" aufgrund Kombination von - Systematischen Schwächen - Anwendungsfehlern Firma GRUNDIG Radio-Bausatz "Heinzelmann" Schaltpläne zu jedem Gerät Internet Welche Technik war je erfolgreicher? 7 Open Source und Datensicherheit - ein Widerspruch?

8 3 Anforderungen an zentrale Software Zu zentraler Software zählen Programmiersprachen Betriebssysteme Firewalls / Virenscanner Mail-Server DNS-Server Web-Server Internet-Browser Grafische Oberflächen Office-Pakete Es gibt ausgereifte Open Source Software für diese Zwecke! 8 Open Source und Datensicherheit - ein Widerspruch?

9 3 Anforderungen an zentrale Software Anforderungen an zentrale Software Erfüllt Standards Funktionalität verifizierbar Sicher Gut dokumentiert Möglichst fehlerfrei Herstellerunabhängig Plattformunabhängig Open Source Software erfüllt diese Anforderungen perfekt! 9 Open Source und Datensicherheit - ein Widerspruch?

10 Pro: Sicherheit durch offene und geteilte Entwicklung Viele unabhängige Entwickler / Tester / Anwender Prüfen sich gegenseitig ("Peer Review") Teilen sich die Last des Testens Gesamter Erstellungsprozess sichtbar Probleme gut erkennbar und korrigierbar Öffentlicher Code verpflichtet zu Offenheit Qualität Dokumentation 10 Open Source und Datensicherheit - ein Widerspruch?

11 Pro: Schnelles Beheben von Fehlern Fehler sind bei komplexer Software nicht ausschließbar Quellcode verfügbar und änderbar Fehler gut kommunizierbar Fehler gut suchbar Fehler von jedem behebbar (im Prinzip) Entwicklungshistorie verfügbar Nachvollziebar, wann von wem welcher Fehler behoben wurde 11 Open Source und Datensicherheit - ein Widerspruch?

12 Pro: Volle Kontrolle der Funktionalität Quellcode verfügbar Funktionalität sichtbar Eigene Version selbst herstellbar Unerwünschte Funktionalität weglassbar Beiträge anderer Entwickler / Anwender Leicht integrierbar Expertise und Ressourcen anderer nutzen 12 Open Source und Datensicherheit - ein Widerspruch?

13 Pro: Enthält nur wirklich nötige Funktionalität Beruht auf dem unmittelbaren Anwenderbedarf Nur nützliche Funktionalität enthalten Sparsamer Ressourcenverbrauch Hohe Zuverlässigkeit Benutzerfreundliche Anwendungen Zusätzlich benötigte Funktionalität leicht ergänzbar 13 Open Source und Datensicherheit - ein Widerspruch?

14 Pro: Kontinuierliche Anpassung statt teurer Releases Weiterentwicklung in kleinen Schritten Änderungen überschaubar Wahl ob mitmachen oder nicht "Jetzt-oder-Nie"-Problematik gering Alte Versionen werden weiterhin gepflegt Solange Bedarf besteht Im Extremfall selbst übernehmen 14 Open Source und Datensicherheit - ein Widerspruch?

15 Pro: Unabhängigkeit von Anbietern Viele unabhängige Support-Anbieter Freie Wahl Wechsel vom ursprünglichen Anbieter möglich Bedarf anpassbar an eigenes Know-How Quellcode vorhanden Im Notfall selber eingreifen oder Externen Dienstleister eingreifen lassen 15 Open Source und Datensicherheit - ein Widerspruch?

16 Pro: Erfüllt offene Standards Austauschbarkeit der Hardware-Plattform der Betriebssystem-Umgebung der Software-Komponenten Unabhängigkeit von Herstellern / Lieferanten Hardware Bei Bedarf schrittweiser Wechsel möglich 16 Open Source und Datensicherheit - ein Widerspruch?

17 Pro: Effiziente Ressourcen-Nutzung Anwenderbedarf entscheidet über Funktionalitäten Schlanke Software Geringer Hardware-Anforderungen Hard- und Softwareneutralität Zwingt zu klaren Konzepten Einhaltung von Standards Erlaubt Wiederverwendung von Komponenten 17 Open Source und Datensicherheit - ein Widerspruch?

18 Pro: Fördert Wettbewerb Standards Dokumentation Know-How-Transfer Lernen Unterrichten Freie Produktwahl 18 Open Source und Datensicherheit - ein Widerspruch?

19 Pro: Günstige Anschaffung und TCO (Total Cost of Ownership) Open Source Lizenz Erlaubt nur geringfügige Kaufkosten Einsatz auf beliebig vielen Systemen Keine Kosten bei Releasewechsel Gespartes Geld investieren in Anwenderschulung Weiterentwicklung Sicherheitstechnik Häufigstes Argument, aber eigentlich wenig relevant. 19 Open Source und Datensicherheit - ein Widerspruch?

20 Kontra: Software-Entwicklung Kein rechtlich Verantwortlicher Haftung gibt es bei normaler Lizenz-Software auch nicht Entwicklungsrichtung ist nicht festlegt. Von Anwendern / Entwicklern gemeinsam entschieden Pflege der Software nicht gesichert Bei Firmenaufkauf / -konkurs ebenfalls nicht Im Prinzip kann man dies selber übernehmen Know-How ist nicht geschützt Man kann daraus lernen Urheberrecht / Copyright bleibt uneingeschränkt gültig 20 Open Source und Datensicherheit - ein Widerspruch?

21 Kontra: Kommerzielle Nutzung Man kann kein Geld damit verdienen Mit Lizenzverkauf in der Tat nicht Mit Support / Dienstleistung sehr wohl Kein Marketing, das das Produkt vorantreibt Führt häufig zu "Featuritis" (ständiger Releaswechsel) Erhöht die Kosten Kommerzielle Unterstützung schlecht Dienstleister sind an zufriedenen Kunden interessiert, da sie sich nicht über das Lizenzgeschäft interessieren Das regelt der Markt (IBM, HP, SUN, Oracle, SAP,...) 21 Open Source und Datensicherheit - ein Widerspruch?

22 Kontra: Sicherheit Open Source liefert nicht automatisch Sicherheit und Qualität Gilt für viele andere Entwicklungs-Methoden auch Fehler in Open Source Programme liegen offen zu Tage Von jedermann sofort ausnutzbar Weltweit verteilte Entwickler sind nicht kontrollierbar Einbau von "subversiven" Funktionalitäten Kurzfristig stimmt das, langfristig gilt aber immer noch: "Security by obscurity doesn't work" (Bruce Schneier) 22 Open Source und Datensicherheit - ein Widerspruch?

23 Quellen zum Thema Open Source Open Source ( Open Source Deutschland ( Free Software Foundation ( Free Software Foundation Europe ( Linux-Kern ( GNU ( FreeBSD ( NetBSD ( OpenBSD ( Homepage von Richard M. Stallman ( Homepage von Eric S. Raymond (catb.org/~esr) 23 Open Source und Datensicherheit - ein Widerspruch?

24 Vielen Dank für Ihre Aufmerksamkeit! Für Fragen stehen wir Ihnen zur Verfügung Hermann Gottschalk Thomas Birnthaler 2004 OSTC Open Source Training and Consulting GmbH Web: